🇰🇷 한글 설명
Tablib 0.11.4의 Databook 로딩 기능에서 YAML 역직렬화 시 임의의 Python 코드 실행이 가능한 취약점입니다. 공격자가 악의적인 Python 명령어를 YAML에 삽입하면 직접 시스템에서 실행됩니다.
💡 쉬운 설명
데이터 처리 프로그램이 특정 파일을 읽을 때 숨겨진 명령어를 그대로 실행하는 문제입니다. 공격자가 악의적인 명령어가 포함된 파일을 만들어 제공하면 피해를 입을 수 있습니다.
🇺🇸 원문 (English)
An exploitable vulnerability exists in the Databook loading functionality of Tablib 0.11.4. A yaml loaded Databook can execute arbitrary python commands resulting in command execution. An attacker can insert python into loaded yaml to trigger this vulnerability.
📍 영향받는 시스템
Tablib 0.11.4 이하 버전 사용하는 모든 Python 애플리케이션
⚔️ 공격 벡터
공격자가 악의적인 Python 코드를 포함한 YAML 형식 Databook 파일을 생성하여 애플리케이션이 로드하도록 유도
🛡️ 대응 방법
Tablib을 0.11.5 이상으로 업그레이드하거나 yaml.safe_load() 사용 (pickle 대신 안전한 로더 적용)
🔧 검증 코드
출력된 Version이 0.11.4 이하면 취약 상태이고 0.11.5 이상이면 패치된 상태입니다.
pip show tablib | grep Version